サイバーリスクの人的コスト: エクスポージャー管理でサイバーセキュリティ専門家の燃え尽き症候群を防ぐ

サイバーリスクの本当の代償は、人にあります。サイロ化されたツールやバラバラな運用体制は、ビジネスを危険にさらすだけでなく、チームにも深刻な負担を与えています。今こそ、統合的かつ事前対応型のアプローチで、サイバーセキュリティの摩擦を取り除くときです。

サイバーリスクはビジネス用語で語られることが多いものの、サイバー攻撃の影響は最終的に人々の生活にまで及びます。 病院がランサムウェア攻撃を受けたために、救命医療を受けられない患者について考えてみてください。 空港で立ち往生する乗客や、 新居を契約できない家族、 詐欺やアイデンティティの盗難に伴う金銭的な損失や精神的な損失など、 人々は最終的に何らかの形でこうした結果の代償を払うことになります。

サイバー防御の最前線にいる人々は、サイバーリスクによる人的被害を痛感するとともに、 自らも代償を払っています。 

セキュリティチームは燃え尽きており、 クラウド、OT、IT 分野の優秀で熱心な専門家を抱えているものの、サイロ化された状態で業務を行うことを余儀なくされています。 クラウド管理者は過負荷状態に陥っており、 OT エンジニアはタイミングの悪いパッチ適用に起因する本番環境の停止を恐れています。 また、脆弱性管理チームは「重大な」アラートに忙殺されています。 その結果、 摩擦や徒労、そしてビジネスを終わらせる真の脅威が隙間に潜んでいるのではないかという絶え間ない恐怖を感じています。

セキュリティチームが対処している課題の対象範囲を以下に示します。

• 最大 29 社のベンダーの 83 個のセキュリティツール
  • それぞれに 1 つ以上のデータコネクタが必要
• 300,000 件にのぼる、MITRE が設立以来追跡している CVE
  • 脆弱性にパッチが適用されない事例は、年末までに 5,150 億件に達する見込み¹
  • 2025 年上半期に 670 件の OT に影響する脆弱性が公開されている
• あらゆる場所の AI — 89% の組織が AI を使用しているか試験的に使用している
  • 34% が AI 関連の侵害に見舞われている
• 動的なクラウド環境 — 82% がハイブリッドクラウド環境で業務を行っている
  • 63% が 2 社以上のクラウドプロバイダーを使い分けている

これ以上挙げるまでもありませんが、要点はおわかりでしょう。最も明確さが求められるときに、チームは分断された可視性や不一致な対応、そして不確実性に足を引っ張られています。IT、OT、クラウド、AI など、あらゆる領域にわたって脆弱性やエクスポージャーを管理する作業は、依然としてあまりにも複雑で手作業に頼りすぎています。 チームは、レポートの統合、脆弱性の相関分析、修正対応の割り当て、そしてそれらが組織全体のリスクエクスポージャーにどう影響するのかを把握するのに、何時間も (時には何日も) 費やしています。日々押し寄せる膨大なセキュリティデータをつなぎ合わせ、統合し、分析する手段がないのです。

そして CEO や取締役会が CISO に「当社は脅威にさらされているのか?」と尋ねたときに、データに裏打ちされた自信に満ちた答えが返ってこないことが多々あるのです。

セキュリティチームと、彼らの報告を受ける経営幹部は、データに圧倒される一方で、明確さを切実に欲しています。

担当チームが過負荷状態に陥って意気消沈しているために防御にまとまりがなくなっている状況は、攻撃者にとって最も好都合です。 担当チームがサイロをまたいで業務を行い、リスクを明確に把握するのに苦労している一方、攻撃者は、チャンスが環境内で相互につながり合っている 1 つの風景に目を向けています。 脆弱性管理、アイデンティティ、クラウド、オペレーショナルテクノロジー (OT) の間で、一見無関係に見える弱点をつなぎ合わせることにより、攻撃者は、機能のサイロの中からでは把握できない攻撃経路を使用して、ナビゲート可能な環境のマップを構築します。 攻撃者は、まとまりのない防御に対して、一元的なキャンペーンを展開しているのです。

サイバー防御チームにも、統一された防御体制が必要

サイバーセキュリティは、孤立した戦いを続ける個々のヒーローによって勝ち取られるものではありません。敵と同じように戦場全体を見渡せる、一枚岩の防御体制によってこそ勝利がもたらされるのです。その鍵となるのが、エクスポージャー管理です。

エクスポージャー管理は、サイロ化したチーム、ツール、データを統合することを目的とした、事前対策型のセキュリティに対する戦略的なアプローチです。 これにより、IT チームやセキュリティチームはアタックサーフェス全体を把握し、ビジネスにとっての最大の脅威に的を絞ることができます。 エクスポージャー管理は、次のようなメリットをもたらします。

• アタックサーフェスの一元的な可視化
• 統合された単一のセキュリティデータのソース
• 複数のセキュリティ領域にわたる一貫したリスクスコアリングのアプローチ
• ビジネスへの影響と技術的な文脈に基づいてエクスポージャーの優先順位付けと修正を行う機能

これらの機能を組み合わせることで、一見まったく異質なものに見える脆弱性、設定ミス、過剰な権限がどのように組み合わさって、組織の最も重要なシステムやデータへの攻撃経路が作り出されるのかを把握できます。 このような可視性とインサイトがあれば、こうしたエクスポージャーを未然に防ぐことができます。

エクスポージャー管理がどのように Tenable のセキュリティチームに変革をもたらしたのかをご覧ください。

サイバーセキュリティチームの燃え尽きが、ビジネスリスク

ランカスター大学の責任あるサイバーセキュリティに関する調査によると、サイバーセキュリティ担当者のウェルビーイング（心身の健全性）は、組織のセキュリティ戦略における重要な要素として位置づけられています。調査参加者の多くが高いレベルのバーンアウト（燃え尽き）を報告しており、研究者たちは、それが個人だけでなく、組織全体、さらには社会全体にリスクをもたらすと警鐘を鳴らしています。

もはや、サイバーセキュリティにおける摩擦を放置しておく時代ではありません。チームには、ノイズを減らし、正確な優先順位づけを支援し、そして燃え尽きることなくリスクを低減できる、新しいアプローチが必要です。エクスポージャー管理が、チームに戦略と仕組みを与え、さらに可視性・洞察・アクションを通じて力を結集し、統一された防御体制の構築を可能にするのです。

¹ 出典: テレメトリスキャンデータに基づく Tenable Research の推定。

もっと詳しく

エクスポージャー管理でサイバー脅威に先手を打ちましょう。